Implementación del SAGRILAFT: matriz de riesgo, manual y procedimientos

Implementar no es entregar un manual

El manual es la última pieza del trabajo, no la primera. Lo que la autoridad revisa cuando pregunta no es la portada del documento, sino si existe una matriz de riesgo construida sobre la operación real, si hay procedimientos que alguien ejecuta y si queda rastro de que se ejecutaron. Un manual descargado de internet y aprobado por acta deja a la empresa igual de expuesta que antes, con el agravante de que ahora hay un documento firmado que promete cosas que nadie hace.

Diagnóstico de los factores de riesgo

Empezamos por entender el negocio y no por abrir una plantilla. Los factores de riesgo del régimen significan cosas distintas en una comercializadora de insumos, en una constructora y en una empresa que exporta.

• Contrapartes. Clientes, proveedores, socios, empleados y demás terceros con los que la empresa se relaciona, agrupados por tipo.
• Productos y servicios. Cuáles se prestan a un uso indebido y cuáles no, con la razón por la que se calificaron así.
• Canales de distribución. Venta directa, distribuidores, plataformas, intermediarios y medios de pago que se aceptan.
• Jurisdicciones. Dónde compra, dónde vende, desde dónde le pagan y hacia dónde gira.

La matriz de riesgo

Es el documento que sostiene todo lo demás. Documentamos las cuatro etapas —identificación, medición, control y monitoreo— dejando escrito el criterio con el que se calificó cada riesgo y quién responde por cada control. Esa trazabilidad, y no la extensión del documento, es lo que hace defendible el programa. También dejamos definido el nivel de riesgo que la empresa está dispuesta a aceptar, porque sin esa definición las decisiones posteriores quedan sin referencia contra la cual medirse.

Las piezas que se adoptan

• Manual SAGRILAFT redactado sobre la operación de la empresa, acompañado del acta de aprobación del órgano competente.
• Procedimientos de debida diligencia: qué se pide, a quién, en qué momento del proceso comercial y quién autoriza una excepción.
• Señales de alerta propias del sector y del negocio, con la ruta interna para analizarlas y documentar la decisión.
• Escalamiento y reporte: quién analiza, quién decide y cómo queda registrada la decisión de reportar o de no reportar.
• Conservación de documentos y reglas de acceso a la información recogida.
• Formatos operativos para que las áreas comercial y de compras puedan cumplir sin consultar al área legal en cada caso.

Capacitación y puesta en marcha

Un programa que no se explica no se aplica. Dictamos sesiones diferenciadas: una para el personal que tiene contacto con clientes y proveedores, que es quien pide los documentos y ve las señales primero; otra para la administración, que autoriza excepciones; y otra para la junta o el máximo órgano social, que aprueba el programa y responde por su supervisión. De cada sesión queda material y registro de asistencia, porque una capacitación que no se puede acreditar, para efectos prácticos, no existe.

Después acompañamos los primeros ciclos de operación: las primeras vinculaciones hechas con el procedimiento nuevo, la primera alerta que hay que analizar, el primer informe del oficial de cumplimiento. Ahí se ve qué parte del diseño hay que ajustar, y se ajusta.

Qué recibe el cliente

• El diagnóstico de factores de riesgo y la matriz documentada, con criterios y responsables.
• El manual y las políticas, con el acta de aprobación y la constancia de divulgación interna.
• Los procedimientos y formatos de debida diligencia listos para operar.
• Las capacitaciones dictadas, con material y registro de asistencia.
• El calendario de obligaciones del programa y el expediente de evidencia que demuestra que existe y que se aplica.

Para quién es

• Empresas que acaban de confirmar que están obligadas y no tienen nada implementado.
• Empresas con un manual genérico y ningún procedimiento detrás.
• Grupos que necesitan un estándar común y programas separados por filial.
• Empresas a las que un tercero les exigió acreditar el programa y descubrieron que no lo pueden mostrar.